Drupal 7 en 2026 : près de 200 000 sites tournent encore sur une version morte

Les chiffres clés du parc Drupal 7 en août 2026

Selon les données de W3Techs (un observatoire qui analyse les technologies utilisées par les sites web publics) relevées le 22 août 2026, 29,7 % de tous les sites Drupal fonctionnent encore sous Drupal 7, dix-neuf mois après la fin définitive de son support le 5 janvier 2025. Drupal 10 arrive en tête avec 30,6 %, soit moins d'un point d'écart, tandis que Drupal 11 atteint 19,1 % des sites en production.

Le constat le plus frappant du recensement publié par l'agence Gspikes est ailleurs : 50,3 % des sites Drupal tournent sur une version en fin de vie (7, 8, 9 ou antérieure). Autrement dit, la moitié du web Drupal ne bénéficie plus d'aucun support de sécurité officiel.

En parallèle, les statistiques d'usage de drupal.org (qui comptabilisent les sites signalant leur version via le module Update Status) montrent un écosystème moderne en croissance : 485 296 sites Drupal 8 et supérieurs se sont signalés durant la semaine du 9 août 2026, soit une progression de 32 % par rapport aux 367 534 sites d'août 2020. Dans le détail : 225 887 sites sous Drupal 10, 165 229 sous Drupal 11, mais aussi 51 847 sous Drupal 9 et 42 333 sous Drupal 8, deux versions elles-mêmes en fin de vie.

Comment arriver à l'estimation de 200 000 sites Drupal 7 ?

Aucune source ne voit l'intégralité du web Drupal, et les sites Drupal 7 ne remontent généralement plus de statistiques vers drupal.org. Le recensement croise donc deux sources aux angles morts opposés : W3Techs, qui échantillonne le web public et identifie les versions par empreinte technique, et les statistiques d'usage de drupal.org, qui fournissent des comptages exacts mais uniquement pour les sites Drupal 8 et supérieurs qui se signalent.

Le raisonnement est le suivant : si les 485 296 sites Drupal 8+ recensés représentent les 70,3 % de sites « non Drupal 7 » mesurés par W3Techs, alors le parc Drupal 7 implicite serait d'environ 485 296 × (29,7 ÷ 70,3), soit à peu près 205 000 sites. Les auteurs retiennent prudemment un ordre de grandeur de 200 000 sites Drupal 7 encore en ligne, en précisant qu'il s'agit plausiblement d'un plancher, les sites Drupal 7 étant moins susceptibles de se signaler que les sites modernes.

Pourquoi tant de sites sont-ils restés bloqués sur Drupal 7 ?

Quatorze ans de support et des échéances repoussées

Drupal 7 a vécu quatorze ans en tant que version supportée, un record dans l'histoire de Drupal, parce que la Drupal Association a repoussé sa fin de vie à trois reprises. Chaque report était rationnel isolément — une trop grande partie du web institutionnel en dépendait — mais leur accumulation a diffusé une leçon qui s'est révélée fausse : « la deadline finit toujours par bouger ». En janvier 2025, elle n'a pas bougé, et près d'un tiers du web Drupal s'est retrouvé pris de court.

Une rupture architecturale qui a transformé la mise à jour en projet

La cause profonde est technique. Drupal 8, sorti en 2015, était une reconstruction complète : nouvelle architecture orientée objet, nouvelle couche de thèmes, nouvelles API de modules. Il n'existait pas de mise à niveau directe depuis Drupal 7 : passer à Drupal 8 était une re-plateforme, c'est-à-dire un véritable projet de migration avec son budget et son planning. Cette décision a offert à Drupal son architecture moderne à mises à jour continues — les passages 8→9→10→11 sont désormais des étapes simples, l'ère des migrations « falaise » s'est terminée avec Drupal 7 — mais elle a intégré un coût de projet dans l'avenir de chaque site D7. Beaucoup de propriétaires ont différé ce projet tant que le coût du report semblait nul.

Le problème silencieux : la flotte « zombie » Drupal 8 et 9

Drupal 7 concentre l'attention, mais les données de drupal.org révèlent un signal plus discret : 94 180 sites se signalent encore sous Drupal 8 ou 9, des versions arrivées en fin de vie respectivement en novembre 2021 et novembre 2023. Ces organisations ont réalisé la migration difficile depuis Drupal 7 (ou construit directement sur 8/9), puis se sont arrêtées — passant à côté de tout l'intérêt du modèle de versions moderne : rester à jour est désormais une tâche de maintenance courante, plus un projet. Un site Drupal 9 non patché en 2026 porte la même catégorie de risque que les sites Drupal 7 dont son propriétaire se croit peut-être à l'abri.

Que se passe-t-il concrètement sur un site non supporté ?

Rien — jusqu'au jour où quelque chose se produit. Le site s'affiche, les rédacteurs se connectent, et le risque s'accumule invisiblement : plus d'avis de sécurité ni de correctifs de l'équipe sécurité Drupal, un écosystème de modules contribués dont les mainteneurs sont passés à autre chose, des versions de PHP qui vieillissent sous la pile technique, et des hébergeurs qui abandonnent le support palier par palier.

Le précédent historique est « Drupalgeddon » en 2014 : lorsqu'une vulnérabilité critique du cœur de Drupal a été révélée, l'exploitation par des attaquants s'est mesurée en heures. La différence, c'est qu'à l'époque un correctif existait. Pour les sites en fin de vie, la prochaine fois, il n'y en aura pas.

Pour les institutions publiques, le risque est aussi administratif : « nous exploitons un CMS non supporté » est une réponse disqualifiante dans un questionnaire de sécurité, un renouvellement d'assurance et, de plus en plus, un critère d'appel d'offres. Selon Gspikes, plusieurs demandes de migration ne sont d'ailleurs pas déclenchées par la peur des attaques, mais par la case à cocher d'un auditeur.

Les quatre issues possibles pour un site Drupal 7

• Migrer vers Drupal 10 ou 11 : l'option par défaut pour les sites institutionnels, dont la complexité qui justifiait le choix de Drupal en 2012 reste généralement d'actualité.
• Basculer vers WordPress : la réponse honnête pour une partie du parc, celle des sites qui n'ont jamais eu besoin de la puissance de Drupal et seront plus simples et moins coûteux à exploiter sur un outil plus léger.
• Souscrire un support étendu (correctifs commerciaux pour Drupal 7) : un pont légitime pour un site important en attente de cycle budgétaire — mais un pont à péage annuel, au bout duquel la migration attend toujours, sans être devenue moins chère.
• Ne rien faire : le chemin choisi par défaut, la seule option dont le coût s'accumule silencieusement.